1 Datum 20 Diarienr. SÄKERHETSSKYDDSAVTAL () VID SÄKERHETSSKYDDAD UPPHANDLING (SUA). Mellan Polismyndigheten i, 202100-0076 nedan kallad Polismyndigheten och Företaget nedan kallad företaget Kontaktmän hos Polismyndigheten och företaget Polismyndigheten: Företaget: säkerhetsansvarig/säkerhetsskyddschef, Polismyndigheten, som företräder staten, och företaget träffar följande avtal om säkerhetsskydd. 1 Bakgrund Avtalet avser säkerhetsskyddad upphandling som kräver säkerhetsskyddsavtal (SUA-arbete) som leverantör av Uppdraget innebär att företaget/dess anställda (motsvarande) Säkerhetsskyddet ska förebygga att hemliga uppgifter obehörigen röjs, ändras, görs otillgängliga för behöriga eller förstörs (informationssäkerhet), att obehöriga får tillgång till hemliga uppgifter eller verksamhet som har betydelse för rikets säkerhet (tillträdesbegränsning) och att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning). Andra säkerhetsskyddsåtgärder är utbildning och kontroll. Detta avtal avser säkerhetsskydd för uppgifter som hos Polismyndigheten omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och som rör Rikets och Polisens säkerhet. En sådan uppgift benämns fortsättningsvis hemlig uppgift. En hemlig uppgift kan framgå av en handling, ett visst förhållande eller föremål eller objekt av olika slag.
2 2 Avtalets omfattning Detta avtal tillsammans med företagets säkerhetsskyddsinstruktion (om en sådan har överenskommits och upprättats) reglerar vilka säkerhetsskyddsåtgärder som företaget ska vidta i samband med uppdraget. Det avser säkerhetsskyddad upphandling som kräver säkerhetsskydd för uppgifter som kräver säkerhetsskyddsavtal (SUA-upphandling) där företaget ska utföra vissa arbeten inom Polismyndighetens lokaler och områden. En övergripande beskrivning framgår av villkorsbilagan. De ekonomiska villkoren avseende uppdraget regleras i ett kontrakt, affärsavtalet. Detta säkerhetsskyddsavtal är en förutsättning för men utgör ingen utfästelse eller garanti för att Polismyndigheten ska teckna eller förlänga affärsavtal med företaget om uppdraget. Om det förekommer motstridiga uppgifter i affärsavtalet gäller detta säkerhetsskyddsavtal framför affärsavtalet. Motsvarande skrivning ska även tas in i affärsavtalet. Företaget får endast använda eventuella underleverantörer som har tecknat säkerhetsskyddsavtal med polismyndigheten. Sekretess kan om företaget så begär, och i den utsträckning 31 kap. 16 Offentlighets- och sekretesslagen medger, gälla hos Polismyndigheten för uppgifter som överlämnas till Polismyndigheten (t ex företagshemligheter). 3 Avtalstid Detta avtal träder i kraft vid undertecknandet och gäller tillsvidare eller intill det skriftligen sägs upp av endera parten. Avtalet kan dock inte ensidigt sägas upp till tidigare tidpunkt än den dag då uppdraget som omfattas av detta avtal slutförts. Polismyndigheten kan dock ensidigt häva detta avtal liksom affärsavtalet om företaget eller de i denna ingående företagen frångår detta avtal eller i övrigt inte sköter den överenskomna säkerheten. 4 Kostnader Företaget ska bära eventuella kostnader som uppkommer med anledning av detta säkerhetsskyddsavtal om inget annat avtalats i affärsavtalet. 5 Allmänna villkor Bilaga 1. Av detta avtal är två likalydande exemplar upprättade varav parterna tagit var sitt. Ort 2013- Företaget 2013- Polismyndigheten i Ort.
3 Villkorsbilaga, bilaga 1, säkerhetsskyddad upphandling (SUA) nivå 3. 1. Allmänt 1.1 Vid företaget ska det finnas en säkerhetsskyddschef/säkerhetsansvarig och i förekommande fall en ställföreträdande (stf) säkerhetsskyddschef/säkerhetsansvarig. Säkerhetsskyddschefen/säkerhetsansvarig ska i säkerhetsskyddsfrågor vara direkt underställd företagets ledning. 1.2 Säkerhetsskyddsverksamheten inom företaget ska ledas av säkerhetsskyddschefen/säkerhetsansvarig. Denne är kontaktman i dessa frågor gentemot Polismyndigheten. 1.3 Företaget ansvarar för samordning av säkerhetsskyddet genom företagets säkerhetsansvarige. Företaget ansvarar genom sin säkerhetsskyddschef/säkerhetsansvarig att överrenskommet säkerhets- och säkerhetsskydd genomförs och efterlevs. Företaget ska följa den mellan Polismyndigheten och företaget överenskomna rutinen för säkerhetsrelaterade frågor som t.ex. registerkontroller, säkerhets- och sekretessutbildning m.m. 1.4 Samtliga eventuellt förekommande handlingar, IT-lagringsmedier (som hårddiskar, DVD/CD-skivor, bandminnen, minnen, disketter m.m.), materiel, modeller, ritningar eller övrig information som har anknytning till uppdraget och som innehåller i avtalet villkorad hemlig information ska, såvitt inget annat avtalats, anses vara Polismyndighetens egendom. Användande av datorer regleras särskilt. 1.5 Företagets säkerhetsskyddschef/säkerhetsansvarig ansvarar för att SUA, när så krävs, aktualiseras även vid användande av underleverantör (motsvarande). 2. Behörighet Behörig att ta del av hemliga uppgifter är endast den som - bedöms pålitlig från säkerhetssynpunkt - har tillräckliga kunskaper om säkerhetsskydd - behöver uppgifterna för sitt arbete i den verksamhet där de hemliga uppgifterna förekommer Hemliga uppgifter får endast delges personer som har säkerhetsprövats (inkl. registerkontroll) och godkänts av Polismyndigheten. 3. Informationssäkerhet 3.1 Polismyndigheten ska klargöra för företaget i vilken utsträckning handlingar m.m. som företaget kan få del av innehåller hemliga uppgifter.
4 3.2 Om hemliga uppgifter uppkommer under uppdragets utförande i företaget, ska företaget vidta de skyddsåtgärder som är nödvändiga. Företaget ska utan dröjsmål meddela Polismyndigheten om sådana hemliga uppgifter uppkommit samt vilka säkerhetsskyddsåtgärder som har vidtagits. 3.3 Den information som omfattas av detta avtal utgör sådana uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen och som rör rikets säkerhet. Sådan information benämns fortsättningsvis hemlig uppgift, se 4 säkerhetsskyddsförordningen (1996:633). Se även säkerhetsskyddsavtalet under 1. Bakgrund. 3.4 Polismyndigheten eller eventuell huvudleverantör ska klargöra för företaget i vilken utsträckning handlingar m.m. som företaget kan få del av innehåller hemliga uppgifter. 3.5 Innan en uppgift som rör uppdraget av företaget av någon anledning önskas delges massmedia eller för publicering i broschyrer, tidskrifter, böcker, filmer, o dyl. ska samråd ske med Polismyndigheten för kontroll av att uppgifterna kan och får lämnas ut. Detsamma ska gälla vid föredrag, utställning, och förevisning dit annan än från säkerhetssynpunkt behörig enligt villkor 3.7 äger tillträde. 3.6 Företaget eller dess anställda får inte publicera bilder eller göra beskrivningar av uppdrag som omfattas av detta avtal på Internet t.ex. i sk. sociala medier som Facebook, Twitter m.m. 3.7 Företaget får ej utan Polismyndighetens tillstånd offentliggöra att företaget är ett SUAföretag. 4. Tillträdesbegränsning 4.1 Myndighetens bestämmelser om tillträdesbegränsning gäller för företagets personal som ska delta i uppdraget. 4.2 Företaget får inte utan Polismyndighetens godkännande byta eller använda andra lokaler, områden eller motsvarande för uppdragets genomförande. 4.3 Endast behöriga personer som har godkänts av Polismyndigheten får ha tillträde till de lokaler, områden eller motsvarande där uppdraget genomförs. Inom Polismyndighetens lokaler gäller de tillträdesbestämmelser som är reglerade i Polismyndighetens tjänsteföreskrift eller motsvarande. 4.4 Om besökare (eller annan) vid/till tillträdesskyddat område kan komma att få del av hemliga uppgifter ska Polismyndighetens godkännande inhämtas före besöket. Med besökare avses varje person som inte redan är behörig (enligt 4.3, ovan). Detsamma ska gälla vid närvaro vid annan hantering som arbete för utförande av uppdraget. 5. Säkerhetsprövning 5.1 För genomförandet av uppdraget får företaget endast använda personal eller underleverantör, konsult (motsvarande) som efter säkerhetsprövning godkänts av Polismyndigheten, om dessa ska eller kan komma att få del av hemliga uppgifter enligt villkoren. Detta gäller oavsett om de blir föremål för registerkontroll eller ej.
5 5.2 Polismyndighetens ställningstagande när det gäller företagets personal grundas på den av företaget vidtagna säkerhetsprövningen enligt villkor 5.1. De personer som får anlitas ska av företaget informeras om att tystnadsplikt gäller och om innebörden av detta. De ska också underteckna ett sekretessbevis. 5.3 Företaget ska innan en enskild person delges hemlig uppgift, genom säkerhetsprövning pröva vederbörandes lämplighet och pålitlighet från säkerhetssynpunkt. Prövningen ska omfatta alla som kan få del av hemliga uppgifter oavsett om de blir föremål för registerkontroll enligt säkerhetsskyddslagen (1996:627) eller inte. Säkerhetsprövningen ska omfatta: - den personliga kännedom som finns om den som prövningen gäller - uppgifter som framgår av referenser betyg, intyg eller på annat sätt. Är arbetet eller deltagandet i uppdraget placerat i säkerhetsklass ska säkerhetsprövningen även omfatta registerkontroll och i vissa fall särskild personutredning. 5.4 Säkerhetsprövningen enligt villkor 5.1 ska dokumenteras av företaget och vid begäran överlämnas till Polismyndigheten. Den utgör bl.a. underlag för bedömningen av inplacering i säkerhetsklass och för Polismyndighetens beslut om en ev. registerkontroll. 5.5 Företaget ska invänta och följa Polismyndighetens ställningstagande vad gäller 5.1 ovan. 5.6 Polismyndigheten ska, innan en ansökan om registerkontroll görs, uppdra åt företaget att särskilt informera den person som ska bli föremål för kontrollen om vad kontrollen innebär. I samband därmed ska företaget också inhämta samtycke till kontrollen. Samtycke ska dokumenteras och i original överlämnas till Polismyndigheten. 5.7 Företaget ska följa Polismyndighetens beslut efter utfall vid registerkontroll 5.8 Företaget ska till Polismyndigheten utan dröjsmål anmäla om en registerkontrollerad person vid företaget lämnar det aktuella uppdraget eller slutar sin anställning. 5.9 Om besökare (eller annan) vid/till tillträdesskyddat område kan komma att få del av hemliga uppgifter ska Polismyndighetens godkännande inhämtas före besöket. Med besökare avses varje person som inte redan är behörig enligt 3.3. 6. Intern utbildning och kontroll 6.1 De personer som kan komma att få del av hemlig uppgift ska av Polismyndighetens ges lämplig utbildning i säkerhetsskyddsfrågor innan uppdraget påbörjas. Därefter ansvarar företaget för att dessa, eller nyanställda, ges erforderlig och fortlöpande utbildning. Utbildningen ska bland annat avse: - de hot och risker som från säkerhetssynpunkt föreligger mot eller är förknippade med uppdraget - de sekretessregler som gäller
6 6.2 Vid behov och efter särskild framställning kan Polismyndigheten medverka i viss utbildning i övrigt vid företaget eller för dess anställda. 6.3 Företaget ska fortlöpande kontrollera att endast behöriga anlitas och att säkerhetsskyddet är tillräckligt, att reglerna efterlevs samt att skyddsnivån är jämn och tillräckligt hög. 6.4 Företaget ska omedelbart underrätta Polismyndigheten (genom säkerhetsenheten, SäkE) om inträffade eller befarade händelser och omständigheter, som kan påverka säkerhetsskyddet, vad avser uppdrag och anställda som faller under detta avtal. 7. Tillsyn Polismyndigheten har rätt att kontrollera att de redovisade och avtalade säkerhetsskyddsbestämmelserna efterföljs. 8. Övrigt 8.1 Hemlig uppgift som avses i villkor 3.1 och som erhållits eller uppkommit under fullgörande av uppdraget som omfattas av detta avtal ska även efter avtalets upphörande hemlighållas till dess annat meddelas av Polismyndigheten. 8.2 Företaget ska utan dröjsmål anmäla till Polismyndigheten när någon ändrig sker beträffande firmanamn, organisationsnummer, post- och besöksadress samt styrelse och revisorer. Detsamma gäller vid ändrade ägarförhållanden eller om företaget råkar i ekonomiska svårigheter eller försätts i konkurs. Aktuellt registrerings- eller företagsbevis, som är högst 3 månader gammal, ska bifogas till anmälan.